PrintNightmare漏洞补丁再被绕过!新的手段可获得Windows管理员权限

6月披露了一个名为PrintNightmare (CVE-2021-34527)的零日 Windows 打印后台处理程序漏洞，该漏洞允许远程执行代码和提升权限。

虽然微软发布了一个漏洞补丁来修复这个漏洞，但研究人员很快就找到了在特定条件下绕过补丁的方法——研究人员创建了一个可通过Internet 访问的打印服务器，允许任何人以管理权限打开命令提示符，通过安装打印驱动程序来完全控制设备。

现在任何人都可以获得Windows SYSTEM权限

安全研究员和Mimikatz的创建者Benjamin Delpy一直处于持续研究PrintNightmare 的最前沿，通过特制的打印机驱动程序和滥用 Windows API发布了多种绕过更新补丁来利用漏洞。

Delpy在他的研究中，通过在\\printnightmare[.]gentilkiwi[.]com创建了一个可通过 Internet访问的打印服务器，该服务器安装打印驱动程序并启动具有SYSTEM权限的 DLL。

最初，启动的DLL会将日志文件写入C:\Windows\System32文件夹，该文件夹应该只能由具有提升权限的用户写入。为了验证他最初的打印驱动程序可以提升权限，因此Delpy修改了驱动程序以启动SYSTEM命令提示符。

这种新方法有效地允许任何人，包括威胁参与者，通过安装远程打印驱动程序就可以获得管理权限。一旦他们获得了机器的管理权限，他们就可以运行任何命令、添加用户或安装任何软件，有效地让他们完全控制系统。

这种技术对于破坏网络以部署勒索软件的威胁行为者特别有用，因为它允许快速轻松地访问设备上的管理权限，帮助他们通过网络横向传播。

BleepingComputer在一台打了完整补丁的Windows 10 21H1电脑上安装了Delpy的打印驱动程序，用户拥有“标准”(有限)特权来测试这项技术。

可以看到，一旦安装了打印机并禁用了检测恶意打印机的Windows Defender，就会打开一个命令提示符，让我们在计算机上拥有完全的SYSTEM特权。

Delpy表示，创建此驱动的目的是为了引起微软注意，使其优先考虑此问题。他还表示，无法确定哪些IP地址属于研究人员或威胁行为者。Delpy警告说，这并不是Windows打印后台处理程序滥用的结束。

缓解新的打印机漏洞

由于任何人都可以在Internet上滥用此远程打印服务器来获得Windows设备上的系统级权限，因此Delpy提供了多种方法来缓解此漏洞。

选项 1：禁用Windows打印假脱机程序

防止所有 PrintNightmare漏洞的最极端方法是使用以下命令禁用Windows打印假脱机程序。

Stop-Service -Name Spooler -Force

Set-Service -Name Spooler -StartupType Disabled

但是，使用此缓解措施将使打印机无法打印。

选项 2：在您的网络边界阻止RPC和SMB流量

由于Delpy利用远程打印服务器，因此您应该在您的网络边界阻止所有RPC 端点映射器 ( 135/tcp)和SMB (139/tcp 和 445/tcp) 流量。但阻止这些协议可能会影响到现有功能。

选项 3：配置 Package Point And Print Server List

防止远程服务器利用此漏洞的最佳方法是使用“Package Point and print - Approved servers”组策略，将指向和打印功能限制在批准服务器的列表中。此策略阻止非管理员用户使用点和打印安装打印驱动程序。

要启用此策略，请启动组策略编辑器(gpedit.msc)，并导航到用户配置>管理模板>控制面板>打印机>包点和打印批准的服务器。

然后启用策略并输入您希望允许用作打印服务器的服务器列表。

使用此组策略将提供针对已知漏洞的最佳保护，但不能阻止威胁参与者使用恶意驱动程序接管允许的打印服务器。

一而再再而三披露的漏洞让我们意识到，网络空间的安全并不是出现问题打好补丁就能一劳永逸。而漏洞的存在对网络安全起着至关重要的影响，美国国家标准与技术局(NIST)、国家漏洞数据库(NVD)有数据显示，90%以上的网络安全问题是由软件自身的安全漏洞被利用导致!因此，提升软件自身安全为网络安全防护起到重要的补充作用。

调查显示，超六成的安全漏洞都与代码有关，这就意味着在软件开发生命周期当中，检测静态代码安全性可以有效减少软件安全漏洞，大大提高软件安全性，从系统内部增强网络抵抗恶意攻击能力。

参读链接：

https://www.bleepingcomputer.com/news/microsoft/remote-print-server-gives-anyone-windows-admin-privileges-on-a-pc/